Google Cloud Professional Cloud Network Engineer (PCNE) è la certificazione dedicata a chi progetta, implementa e gestisce l’infrastruttura di rete su Google Cloud: reti VPC, routing, load balancing, DNS, NAT, connettività ibrida e multicloud, e sicurezza di rete. Valida la capacità di costruire reti ad alta disponibilità, scalabili, resilienti e sicure. È un esame Professional a scenario e di design che presuppone esperienza reale di networking.

Cosa valida il Professional Cloud Network Engineer

Il PCNE valida la capacità di tradurre requisiti in architetture di rete corrette: progettare le VPC e lo spazio di indirizzamento, scegliere il load balancer e la topologia di connettività giusti, implementare routing e Shared VPC, configurare DNS, CDN e NAT, collegare on-premises e altri cloud con Interconnect e VPN, monitorare e risolvere i problemi, e proteggere la rete con firewall, Cloud Armor e VPC Service Controls. È un esame di trade-off: gli scenari chiedono quale servizio, topologia o configurazione raggiunge disponibilità, latenza, costo e sicurezza richiesti.

I numeri d’esame sono pubblicati: 120 minuti, 50-60 domande, 200 USD. Due note pratiche: il PCNE è disponibile solo in inglese e giapponese (non in italiano), e come tutte le certificazioni Professional di Google è valido 2 anni — non 3 come foundational e associate.

A chi si rivolge

Il candidato tipico ha oltre 3 anni di esperienza e almeno 1 anno su Google Cloud: network engineer, cloud engineer, architetto di rete, sistemista con forte base networking (routing, BGP, subnetting, DNS). Non servono prerequisiti formali, ma è un esame difficile senza esperienza operativa. È complementare al Professional Cloud Architect (design end-to-end) e al Professional Cloud Security Engineer (sicurezza), con cui condivide molti temi di perimetro e firewall.

I concetti trasversali

Alcuni concetti tornano in tutto l’esame:

  • VPC Peering non è transitivo: due VPC in peering non raggiungono le reti a valle di un terzo peer. Per la transitività (hub-and-spoke, mesh) si usa Network Connectivity Center.
  • Scelta del load balancer: si decide su tre assi — interno vs esterno, globale vs regionale, Application (L7) vs proxy Network LB vs passthrough Network LB (L4). Il passthrough preserva l’IP client e non termina TLS; l’Application LB fa routing L7.
  • Accesso privato ai servizi: Private Google Access (istanze private raggiungono le API Google), Private Service Connect (endpoint privato verso un servizio), private services access (peering verso servizi gestiti come Cloud SQL) sono tre cose diverse.
  • Cloud NAT è solo egress: dà connettività in uscita alle istanze senza IP esterno; non è un firewall e non gestisce l’ingresso.
  • HA VPN vs Classic VPN: HA VPN offre lo SLA del 99,99% (due interfacce); Classic VPN no.

I sei domini d’esame

1. Progettare e pianificare una rete VPC (circa 21%)

I network tier (Premium vs Standard), il design per HA/DR e scala, la topologia DNS, la scelta del load balancer, il networking GKE (secondary range, spazio IP), i ruoli IAM di rete, la connettività ai servizi gestiti (private services access, PSC, Serverless VPC Access) e la strategia IPAM (subnet, IPv6, evitare sovrapposizioni), incluso il design della connettività ibrida/multicloud.

2. Implementare una rete VPC (circa 20%)

Creare VPC, subnet e firewall rule, configurare VPC Peering e Shared VPC (con i ruoli IAM per i service project), Private Google Access, l’espansione delle subnet e i perimetri VPC Service Controls; il routing (Cloud Router, dynamic routing globale/regionale, ILB come next hop, policy-based routing), Network Connectivity Center e il networking GKE (VPC-native con alias IP, private cluster, Dataplane V2, network policy).

3. Configurare i servizi di rete gestiti (circa 16%)

Il load balancing (scelta e configurazione: backend NEG/MIG, health check, URL map, session affinity, global access; Gateway/Ingress per GKE; traffic splitting/mirroring), Cloud CDN (origini e invalidazione) e Cloud DNS (zone public/private, routing policy geo/failover, DNSSEC, forwarding, split-horizon, DNS peering).

4. Configurare la connettività ibrida e multicloud (circa 16%)

Cloud Interconnect (Dedicated e Partner con VLAN attachment, Cross-Cloud, HA VPN over Interconnect, SLA 99,9%/99,99%), la VPN IPSec (HA VPN verso on-prem e altre VPC, Classic VPN), il Cloud Router (BGP: ASN, MED/priority, BFD, custom route) e Network Connectivity Center (hybrid spoke, router appliance, transitività).

5. Gestire, monitorare e risolvere i problemi di rete (circa 14%)

Cloud Logging e le metriche per i componenti di rete (VPN, Router, NGFW, VPC Flow Logs, DNS, NAT), il troubleshooting (drain dell’Application LB, VPN, Interconnect, peering BGP, Packet Mirroring) e il Network Intelligence Center (Network Topology, Connectivity Tests, Performance Dashboard, Firewall Insights, Network Analyzer).

6. Configurare una soluzione di sicurezza di rete (circa 13%)

Google Cloud Armor (policy edge/backend, WAF, DDoS e Adaptive Protection, rate limiting, bot management), Cloud NGFW e le VPC firewall rule (hierarchical policy, tier Essentials/Standard/Enterprise, L7 inspection, micro-segmentazione con tag e service account), l’egress sicuro con public Cloud NAT e Secure Web Proxy, e i network virtual appliance con Packet Mirroring.

Come prepararsi

Il PCNE premia chi ha progettato davvero reti su Google Cloud. Un percorso efficace:

  1. Impadronisciti della scelta del load balancer. È il tema più ricorrente: allena la decisione interno/esterno, globale/regionale, L7/L4 su scenari reali.
  2. Distingui i servizi per funzione. VPC Peering (non transitivo) vs Network Connectivity Center; Private Google Access vs PSC vs private services access; Cloud Armor vs Cloud NGFW vs VPC Service Controls; HA VPN vs Classic VPN.
  3. Ragiona per HA e transitività. Molte domande chiedono connettività resiliente (HA VPN, dual Interconnect, dynamic routing) o l’accesso transitivo tra più reti: scegli in base ai requisiti, non all’opzione più semplice.
  4. Alterna teoria e simulazione. Nelle ultime settimane passa alle prove pratiche per individuare le aree deboli. La simulazione PCNE su CertUp usa domande a scenario in inglese come l’esame reale, con timer e spiegazione di ogni risposta.

Un network engineer con esperienza reale su Google Cloud arriva pronto con alcune settimane di studio mirato; chi non ha mai progettato reti cloud dovrebbe prima accumulare pratica.

In sintesi

Il Professional Cloud Network Engineer certifica che sai progettare e gestire reti affidabili, performanti e sicure su Google Cloud end-to-end: dalle VPC al load balancing, dalla connettività ibrida al monitoraggio fino alla sicurezza. È una delle certificazioni più richieste per i profili di rete e infrastruttura. Se stai pianificando il percorso Google Cloud, confronta la scheda con le altre certificazioni nella pagina Google Cloud di CertUp.